Un attaquant a exploité la passerelle inter-chaînes ISMP d'Hyperbridge pour créer 1 milliard de faux jetons DOT sur Ethereum, puis encaisser le produit en ETH. L'incident impliquait une représentation « Wrapped DOT » transférée de Polkadot via un pont et n'a eu aucun impact sur le jeton DOT natif sur la propre blockchain de Polkadot.
Malgré l'opération de contrefaçon massive, les spécialistes de la sécurité en chaîne affirment que la vulnérabilité a rapporté à l'attaquant environ 108,2 ETH ou 237 000 $. En raison du manque de liquidité, le prix du DOT entré dans Ethereum via le pont a chuté rapidement, passant d'environ 1,22 $ à presque zéro en raison de ventes massives.
Voici comment fonctionnait l'exploit Hyperbridge ISMP
L'attaque visait Hyperbridge, une infrastructure inter-chaînes développée par Polytope Labs qui utilise le protocole ISMP (Interoperable State Machine Protocol) pour acheminer les messages entre les blockchains. Selon la société de sécurité CertiK et le chercheur indépendant ExVul, l'attaquant a falsifié des informations d'identification inter-chaînes et les a fait passer clandestinement via le pipeline de vérification d'Hyperbridge.
Ces fausses informations d'identification ont été transmises à la fonction HandlerV1.handlePostRequests(), qui les a acceptées comme valides et a autorisé un faux message de gouvernance. Ce message a exécuté une action ChangeAssetAdmin sur le contrat DOT ponté et a transféré les droits d'administrateur et de minter sur Ethereum à l'adresse de l'attaquant.
Avec le lancer Minter en main, l'attaquant a frappé 1 000 000 000 de DOT sur Ethereum, soit plus de 2 800 fois l'offre pontée habituelle d'environ 356 000 jetons. Il a ensuite acheminé le faux DOT via le routeur d'Odo et les pools Uniswap v4, a déversé les jetons dans la liquidité disponible et a reçu environ 108,2 ETH en retour.
Voie de retrait et attaques associées
Les enquêteurs rapportent que l'attaquant a financé ses activités via Railgun et Synapse Bridge, gérant le portefeuille de financement pendant environ 33 jours avec plus de 50 transactions avant de déclencher l'exploit. Après avoir échangé le faux DOT, l’attaquant a détourné les 108,2 ETH vers son compte externe, où ils continuent d’être étroitement surveillés.
Les chercheurs en sécurité ont également signalé un deuxième exploit, plus petit, utilisant le même pipeline Hyperbridge le même jour. Dans ce cas, une autre adresse a abusé du chemin TokenGateway.onAccept() pour retirer environ 12 000 $ en jetons MANTA et CERE. Les deux incidents pointent vers la même cause : une vérification insuffisante de la preuve d’état au sein du flux ISMP.
Bien que les premiers rapports soulignent que seuls les actifs transférés via le pont vers Ethereum ont été affectés, et non le réseau principal Polkadot, ni Hyperbridge ni l'équipe officielle de Polkadot n'ont encore publié un examen public approfondi.
EN SAVOIR PLUS: Dogecoin (DOGE) se prépare à une variation de prix de 30 % après une période d'accumulation de 70 jours